大量内网主机存在挖矿行为经過市面上主流杀毒软件查杀均未查杀出异常，后续分析发现主机挖矿特征明显采用为驱动加载配合代码注入的方式植入计算机具备较强的隱蔽性与顽固性且有大规模扩散的趋势。

病毒主要注入到系统主要端口通常为4位数字如等

lsass.exe内存占用空间也大幅度增加，多出的部分包含挖矿的核心代码与隐藏的的dll模块内存中存在挖矿的关键字段。

内存中存在较多的挖矿核心代码github中能找到此挖矿核心代码：

通过对进程的内存可以发现其中存在的隐藏模块与隐藏进程

添加注册表关键字段FFBusiness注册此设备：

并通过注册的形式添加到系统引用当中运行

病毒母体核心驱动如下（命名为随机字符串）

1.由于病毒文件设置有访问权限控制，这里需要使用PCHunter工具进行操作此工具属于驱动加载类软件有一定嘚兼容性限制有蓝屏的风险，请事先做好数据备份工作

2.lsass.exe为系统进程请勿轻易结束此进程会导致系统异常。

1. 使用PChunter工具删除windows/system32/xxxxx目录（xxxx为随机字苻串）请特别注意勿错删删除前请务必检查签名与日期等信息
2. 运行regedit 搜索注册表为FFbusiness与病毒母体驱动xxxx（xxxx为随机字符串）的关键字，删除这些鍵值

1. 根据目前掌握的信息该病毒主要通过软件捆绑安装进行传播，日常使用PC过程当中应尽量选择安全可信的第三方软件平台或者软件官網下载软件
2. 日常运维进行周期性的安全检查与病毒扫描及时发现安全问题，建议部署安全感知（SIP）与终端安全软件（edr）联动处理病毒问題
3. 提升安全意识及时更新windows补丁、设置复杂密码等